Gerenciar as Cinco Maiores Ameaças à Segurança para o Sucesso em Escala Web

Os negócios crescentes na Web tornaram-se essenciais para as empresas, desde organizações de serviços financeiros a sites de rede social. A atração é fácil de ser entendida: Construindo serviços em escala Web pode resultar em um enorme aumento, com comunidades de milhões de usuários.

O alcance maciço dessas implementações também atrai também o lado mais obscuro da Internet. Quanto mais popular o site ou o serviço vier a ser, mais atrativo ele será aos potenciais agressores. Para descobrir onde as implementações em Escala Web são mais vulneráveis, a Sun Inner Circle procurou recentemente a assistência de dois especialistas do Escritório de Vendas Globais e Segurança de Serviços da Sun: Glenn Brunette, Distinto Engenheiro e Rafat Alvi, Engenheiro Chefe.

"Encontrar o equilíbrio certo entre a facilidade de uso, o desempenho e a segurança, é vital para o sucesso em escala Web," afirma Brunette. "De certa maneira, felizmente muitas das preocupações de segurança são problemas 'sempre-verdes', visto que são bem entendidas. Mas devido às implementações em escala Web alcançarem tantas pessoas através de métodos de fornecimento em constante evolução, as questões de segurança existentes há muito tempo podem tomar novas dimensões.

Numa conversação detalhada, Brunette e Alvi identificaram cinco áreas que devem ser tratadas para manter as implementações em Escala Web seguras contra ataques. "Essas cinco áreas não cobrem necessariamente tudo que é preciso para manter seguras as implementações em escala Web, mas a nossa lista pode servir de base rápida sobre o que evitar, e portanto, como fazer", afirma Alvi.

O desenvolvimento rápido de software com sofisticação contínua é uma marca de qualidade das implementações em escala Web, afirma Brunette. "Manter software permanentemente em "beta" é freqüentemente usado como desculpa para os limites irregulares dos recursos e funções que são empilhados nos serviços Web," afirma ele. "Isso pode ser um problema quando as primeiras versões de serviços e atualizações de códigos não são concebidas com a imagem geral de segurança em mente. Os agressores não esperam para o software ficar completamente 'cozido'.

"Nessas situações, os programas são freqüentemente testados para assegurar que funcionem em condições ideais em vez de condições adversas", afirma Alvi. "Os ataques conhecidos, tais como estouros de buffer, injeção de SQL e a criação de script através de site, são baseados na premissa de que o software freqüentemente não é escrito para lidar bem com as exceções".

Começar com blocos e padrões de construção testados pelo tempo é essencial para o sucesso em escala Web, afirmam Brunette e Alvi. "É por isso que as bibliotecas seguras, reutilizáveis e os módulos encontrados no NetBeans e Sun Java Studio Enterprise são tão importantes para desenvolver consistentemente aplicações seguras", afirma Brunette. "As estruturas de software livre baseadas nas contribuições de grandes comunidades voltadas à segurança, são normalmente as melhores apostas para o desenvolvimento de aplicações. É difícil para mim pensar no que pode superar os princípios testados pelo tempo, de boas ferramentas para teste de segurança e de automação tais como JUnit e JsUnit".

"Existem implicações de segurança para cada serviço baseado em TI e as implementações em escala Web não são exceção", continua Alvi. "Nada existe num vácuo, e os desenvolvedores precisam questionar se as suas novas ofertas baseadas na Web são seguras, e qual será o impacto de TI geral se essas ofertas forem violadas".

Uma vez montados, os serviços Web devem ser instalados onde eles podem ser acessados. Isso freqüentemente significa permitir acesso através das defesas tradicionais, tais como os firewalls de rede. Brunette e Alvi sugerem uma abordagem holística para gerenciamento de ameaças, que inclui proteções de camada de aplicação para detectar e bloquear os ataques baseados na Web. Algumas possibilidades incluem ofertas dos vendedores de gateway XML, tais como as Tecnologias de Layer 7, mencionam eles.

"Não há nenhum substituto para o desenvolvimento de software defensivo, mas esses produtos podem ser eficientes para a implementação de arquiteturas de defesa profunda", afirma Brunette.

Como a segurança pode manter o passo com as expectativas crescentes de uma base de usuários que pode abranger milhões de pessoas? "Assim que uma organização determina que pode escalar as suas aplicações Web, gerenciamento de identidade é o próximo passo para manter a segurança no passo com o crescimento em escala Web", afirma Alvi. "A natureza da segurança em constante evolução foi uma das principais considerações de concepção no desenvolvimento das ferramentas de gerenciamento de identidade da Sun".

Várias ferramentas da Sun permitem às organizações gerenciar, fornecer e examinar rapidamente as implementações em escala Web, comenta Alvi. Por exemplo, o Sun Java System Identity Manager permite aos administradores mapear os usuários e os direitos de acesso através de múltiplos sistemas em dias em vez de semanas. "Isso é salto bem grande no que diz respeito a assegurar que a segurança possa expandir com o crescimento dos serviços Web e identidades de usuário", afirma Alvi.

O Sun Role Manager também vem à mente, porque ele ajuda as organizações a descobrir, definir e gerenciar o acesso dos usuários com um vocabulário comum que vincula os processos de negócios e a TI", afirma Brunette. "Ele também promove um perfeito controle da TI em implementações em escala Web, onde os direitos de acesso de grandes comunidades de usuários deve ser gerenciado e examinado".

Brunette e Alvi afirmam que o Sun Java System Access Manager facilita as implementações em escala Web, agindo como um único ponto de entrada para até dezenas de milhões de usuários. Para proteger cada ocorrência de uma única entrada no sistema, a nova versão do Java System Access Manager centraliza as políticas de gerenciamento de segurança.

Isto significa que as regras e as políticas baseadas em papéis podem ser atribuídas a classes específicas de usuários. Para juntar tudo, Brunette e Alvi afirmam que o Sun Java System Directory Server pode servir como um repositório para informações sobre usuários e direitos de acesso.

"As informações que eram outrora externamente inacessíveis podem agora ser acessadas de qualquer local, muitas vezes através de múltiplos dispositivos", afirma Alvi. "Isto é um desenvolvimento extraordinário, mas vincular o velho, o novo e o não relacionado, multiplica o número de desafios potenciais de segurança. Isso também suscita questões de confiança quando sistemas e dispositivos interconectados são de propriedade de diferentes partes".

"É por isso que as capacidades de federação de identidade devem ser parte de um arsenal de segurança em escala Web bem estocado", acrescenta Brunette. "Essas capacidades são embutidas no Sun Java System Access Manager para ambientes Web. E para manter as informações acessíveis aos parceiros, o Sun Access Manager conecta cada silo de informações como raios a um cubo central. Contudo, não há nenhum substituto para a linguagem contratual clara entre as partes. Qualquer esquema de federação tem de se apoiar sobre contratos legais e políticas bem documentados entre os parceiros".

"Cada vez mais este é um mundo baseado em Web, mas é irrealista sugerir que é exclusivamente um mundo baseado em Web", afirma Alvi. "Enfim, a maioria das empresas precisam equilibrar a velocidade e a agilidade dos serviços em escala Web com a confiabilidade, consistência, controle e a segurança dos ambientes herdados, e isto requer a conexão de todos os pontos".

As capacidades de leitura-escrita ostentadas no Web 2.0, popularmente referidas como "mashups", permitem que protocolos tais como Ajax e Atom sejam integrados nos ambientes. Estas capacidades, de acordo com Brunette e Alvi, podem também abrir clientes e servidores para ataques que podem passar direto através de firewalls tradicionais.

"A tendência para a auto-atualização de conteúdo Web é um benefício misto", afirma Brunette. "Permitindo o acesso, a execução e a agregação do conteúdo junto ao cliente, uma nova entrada foi aberta, onde os atacantes podem enganar os usuários para executar códigos mal-intencionados que penetram nas redes corporativas".

PPor exemplo, o Ajax permite aos navegadores emitirem chamadas de JavaScript de maneira assíncrona a partir de um navegador. Mas fazer o download de JavaScrip a partir de sites não confiáveis pode permitir aos atacantes executarem chamadas Ajax mal-intencionadas para os navegadores. Os ataques de script através de site resultantes conseguem então seqüestrar contas de usuários, lançar phishing scams (iscas perigosas) e executar programas mal-intencionados nos sistemas do usuário.

Brunette afirma que a melhor defesa contra tais ameaças é normalmente um bom ataque. "Eduque os seus usuários a respeito dos perigos de acessar sites desconhecidos e assegure que os clientes, incluindo desktops, PDAs e celulares, tenham proteções de segurança para se defender contra esses ataques. Mas, também assegure que esteja instalada uma arquitetura de defesa profunda - essas estruturas sobreviveram ao teste do tempo".

"Naturalmente, os usuários que executam qualquer sistema operacional podem levar vantagem do software Sun Secure Global Desktop para acesso seguro aos desktops e aplicações", afirma Alvi. "Virtualizando o acesso de desktop, uma empresa pode reduzir o número de alvos disponíveis ao ataque. Tome um passo a mais com clientes Sun Ray, e esta abordagem holística elimina o alvo de desktop individual sempre popular".

Além disso, afirma Alvi, as Solaris Trusted Extensions (Extensões Confiáveis Solaris) podem ser utilizadas com Sun Rays para executar as políticas de controle de acesso, o que pode promover mobilidade e o fácil acesso aos recursos de TI corporativos.

"Enquanto as implementações em escala Web podem parecer como ambientes inteiramente novos, muitas das considerações de segurança devem ser familiares", afirma Brunette. "Os fundamentos dos serviços Web requerem garantias de segurança testadas pelo tempo, tais como a autenticação, autorização, confidencialidade, integridade e auditoria em sistemas, redes, na armazenagem e nos serviços. Sem esses fatores, a segurança simplesmente falhará".

"É por isso que uma abordagem sistêmica de segurança que combina a política, a metodologia, a arquitetura e os produtos é primordial nos serviços Web, porque esses ambientes são apenas tão fortes como o seu vínculo mais fraco", acrescenta Alvi. "Os ambientes em escala Web simplesmente não durarão muito, a menos que eles estejam baseados numa fundação segura".

Brunette e Alvi afirmam que numerosos recursos Sistema operacional Solaris ajudam a fornecer essa fundação segura. Como um exemplo, eles apontam como as zonas e os privilégios em Solaris Containers separam tipos específicos de dados, que permite às empresas implementar serviços Web para manter os ativos cruciais longe das atenções indesejadas.

De acordo com Alvi, as implicações da carga de trabalho dos recursos de segurança incorporados devem ter uma outra consideração chave para a segurança de serviços Web. "Me faz arrepiar quando penso sobre quão freqüentemente a segurança é desligada por causa da preocupação com o desempenho e o tempo de resposta", afirma ele. "Isso é onde o design de criptografia incorporada dos processadores UltraSPARC T2 entra em ação. Livrando-se da carga de trabalho de criptografia dos co-processadores, esses chipsets garantem que a segurança não seja sacrificada por causa do desempenho".

Além disso, afirmam Brunette e Alvi, as tecnologias de processamento especializadas para aumentar a velocidade de análise XML podem reforçar indiretamente a segurança de sinalizar e criptografar as mensagens XML. As ofertas a considerar, afirmam eles, incluem as tecnologias Fast Infoset da Sun e as aplicações de fornecedores tais como Layer 7 Technologies.

"A escolha do hardware e do sistema operacional é crucial ao ampliar serviços Web de maneira segura", afirma Brunette. "Mas, a segurança também é mais do que produtos e tecnologias. As melhores práticas, treinamento, educação, processos e política, todos desempenham um papel importante no desenvolvimento de aplicações numa escala Web".